安全评估和等级保护使用的最关键的安全技术是什么

安全评估和等级保护使用的最关键的安全技术是漏洞扫描。

安全评估

安全评估分狭义和广义二种。狭义指对一个具有特定功能的工作系统中固有的或潜在的危险及其严重程度所进行的分析与评估，并以既定指数、等级或概率值作出定量的表示，最后根据定量值的大小决定采取预防或防护对策。广义指利用系统工程原理和方法对拟建或已有工程、系统可能存在的危险性及其可能产生的后果进行综合评价和预测，并根据可能导致的事故风险的大小，提出相应的安全对策措施，以达到工程、系统安全的过程。安全评估又称风险评估、危险评估，或称安全评价、风险评价和危险评价。

等级保护

信息系统安全等级保护是指对信息安全实行等级化保护和等级化管理。

根据信息系统应用业务重要程度及其实际安全需求，实行分级、分类、分阶段实施保护，保障信息安全和系统安全正常运行，维护国家利益、公共利益和社会稳定。

等级保护的核心是对信息系统特别是对业务应用系统安全分等级、按标准进行建设、管理和监督。国家对信息安全等级保护工作运用法律和技术规范主机加强监管力度。突出重点，保障重要信息资源和重要信息系统的安全。

等级保护与安全评估

安全评估和等级保护使用的最关键的安全技术是漏洞扫描。风险评估是等级保护（不同等级不同安全需求）的出发点。风险评估中的风险等级和等级保护中的系统定级均充分考虑到信息资产CIA特性的高低，但风险评估中的风险等级加入了对现有安全控制措施的确认因素，也就是说，等级保护中高级别的信息系统不一定就有高级别的安全风险。

风险评估是安全建设的出发点，它的重要意义就在于改变传统的以技术驱动为导向的安全体系结构设计及详细安全方案制定，以成本－效益平衡的原则，通过对用户关心的重要资产（如信息、硬件、软件、文档、代码、服务、设备、企业形象等）的分级、安全威胁（如人为威胁、自然威胁等）发生的可能性及严重性分析、对系统物理环境、硬件设备、网络平台、基础系统平台、业务应用系统、安全管理、运行措施等方面的安全脆弱性（或称薄弱环节）分析，并通过对已有安全控制措施的确认，借助定量、定性分析的方法，推断出用户关心的重要资产当前的安全风险，并根据风险的严重级别制定风险处理计划，确定下一步的安全需求方向。

等级保护的前提是对系统定级，根据FIPS199，系统定级根据系统信息的机密性、完整性、可用性（简称CIA特性）等三性损失的最大值来确定，即“明确各种信息类型—-确定每种信息类型的安全类别—-确定系统的安全类别”三个步骤进行系统最终的定级。将信息系统安全类别（简称SC）表示为一个与CIA特性的潜在影响相关的三重函数，一般模式是：SC= ｛（保密性，影响），（完整性，影响），（可用性，影响）｝。

等级保护中的系统分类分级的思想和风险评估中对信息资产的重要性分级基本一致，不同的是：等级保护的级别是从系统的业务需求或CIA特性出发，定义系统应具备的安全保障业务等级，而风险评估中最终风险的等级则是综合考虑了信息的重要性、系统现有安全控制措施的有效性及运行现状后的综合评估结果，也就是说，在风险评估中，CIA价值高的信息资产不一定风险等级就高。在确定系统安全等级级别后，风险评估的结果可作为实施等级保护、等级安全建设的出发点和参考。